Spring靴SQL注射预防

Question

我的Checkmarx报告在我的Spring Boot应用程序中将此方法标记为高严重性二阶SQL注入：

public void updateEmployees(int storeId) {
  List<Employee> employees = employeeRepo.findByStoreId(storeId);
  employees.stream().forEach(e->{
    e.setActive('Y');
    employeeRepo.save(s);
  });
}

根据Checkmarx：

... 应用程序通过在查询中嵌入不受信任的字符串来构造此SQL查询，而无需进行适当的清理。连接的字符串被提交到数据库，并在数据库中进行相应的分析和执行。

setActive（'Y'）行似乎是问题所在。

我在Spring Data JPA使用中找到的数据清理指南建议使用从entityManager实例创建的TypeQuery。类似：

String jql = "from Employee where storeId = :storeId";
TypedQuery<Account> q = em.createQuery(jql, Employee.class)
  .setParameter("storeId", storeId);

然而，在我的应用程序中，实体管理器是由Spring Boot隐式创建的。

因此，为了在这里实现“适当的清理”，我是否需要显式地创建EntityManager实例（以访问其createQuery方法）？或者有没有一种更直接的方法来实现这一点，而不需要xplicit EntityManager实例化？

Answer 1

这是一个假阳性，您需要联系供应商，并将此情况通知他们。当Hibernate生成SQL时，它使用PreparedStatement。您更改的所有实体字段都将与查询分开发送，不会有任何连接。

Spring Data不会改变HiberNate处理实体的方式。所以要么这是一个误报，要么你看错了代码行。